Los registros del servidor y de la aplicación listan la dirección IP de cada solicitud. Cuando algo parece raro, como una ráfaga de inicios de sesión fallidos o de extracción de datos, una consulta de IP es un buen primer paso para entender quién está detrás.
1. Reúne las pruebas
Encuentra las direcciones implicadas y anota qué hicieron: las rutas solicitadas, los códigos de estado, las cadenas de user agent, la frecuencia de solicitudes y el intervalo de tiempo. Los patrones importan más que una sola solicitud.
2. Consulta la dirección
Para cada dirección, comprueba:
- Propietario y ASN. Un proveedor de internet residencial, un proveedor de nube o alojamiento, una universidad o un servicio de VPN conocido cuentan historias distintas. El tráfico alojado en la nube contra un formulario de acceso es más probable que sea automatizado.
- País y región. ¿Es plausible para este usuario o esta base de clientes?
- DNS inverso. Nombres como
crawl-66-249-66-1.googlebot.comson lo esperado para el tráfico real de Googlebot.
3. Verifica los bots declarados
Un user agent puede falsificarse. Para confirmar que una solicitud es realmente de un buscador importante, haz una consulta DNS inversa de la IP, comprueba que el nombre de host pertenece al dominio del buscador y luego resuelve ese nombre hacia delante para confirmar que devuelve la misma IP. Los buscadores también publican listas de sus rangos de IP.
4. Decide qué hacer
- Rastreador legítimo: déjalo, y usa robots.txt como orientación si hace falta.
- Extractor agresivo pero inofensivo: limita su tasa de solicitudes.
- Fuerza bruta o intentos de explotación: bloquea la dirección o el rango en el cortafuegos o el WAF, y exige una autenticación más fuerte.
- Tráfico mixto de una red compartida: ten cuidado, porque bloquear una dirección de un operador móvil o de una universidad puede bloquear a muchos usuarios inocentes.
Salvedades
- Los atacantes rotan direcciones y usan proxies, así que bloquear una sola IP rara vez resuelve el problema.
- Las direcciones compartidas detrás de NAT ocultan a muchos usuarios.
- Los datos de ubicación pueden ser erróneos, así que no te fíes solo de ellos.
- No publiques ni compartas públicamente direcciones IP de personas. En algunas regiones cuentan como datos personales.
Mejores defensas a largo plazo
La limitación de tasa, el CAPTCHA en formularios sensibles, la autenticación multifactor, el software actualizado y un cortafuegos de aplicaciones web hacen más que perseguir direcciones sueltas.
Preguntas frecuentes
¿Debo bloquear un país entero? Solo si tienes un motivo comercial, ya que también bloquea a usuarios legítimos y salidas de VPN.
¿Cuánto tiempo debo conservar los registros? Sigue tus necesidades legales y de seguridad y consérvalos el menor tiempo práctico.